حریم خصوصی و امنیت
داده‌هایت مال خودت است، روی دستگاه خودت.
این صفحه دقیق می‌گوید کوله با داده‌هایت چه می‌کند و چه نمی‌کند. نمی‌گوییم «صددرصد امن»؛ می‌گوییم دقیقاً چه کاری انجام می‌شود تا خودت قضاوت کنی.
چه چیزی کجاست
| داده | کجا نگه داشته می‌شود | چه کسی می‌بیند |
|---|---|---|
| رمز و نشست سامانه‌ها (CW، سماد، EDU، ایمیل، کوئرا) | حافظهٔ امن سیستم‌عامل؛ قفل اختیاری با اثر انگشت، چهره یا Windows Hello | فقط خودت، روی همین دستگاه |
| درس‌ها، کارها، امتحان‌ها، یادداشت‌ها | پایگاه دادهٔ محلی اپ | فقط خودت |
| نمره‌ها و کارنامه | پایگاه دادهٔ محلی؛ وقتی خودت به‌روزرسانی کنی از EDU خوانده می‌شود | فقط خودت |
| پشتیبان | فایلی که خودت می‌سازی و هرجا خواستی نگه می‌داری | هر کسی که فایل را به او بدهی |
| گزارش خطا (خودکار، قابل خاموش کردن) | سرور کوله، حداکثر ۹۰ روز | فقط سازندهٔ کوله، برای درست کردن خطا |
| گزارش مشکلی که خودت می‌فرستی | سرور کوله، تا حل شدن و بعد حداکثر ۹۰ روز | فقط سازندهٔ کوله |
| ددلاین یا برنامه‌ای که به اشتراک می‌گذاری | داخل همان لینک یا QR؛ به سرور کوله فرستاده نمی‌شود | کسی که لینک را به او می‌دهی |
اپ با چه سایت‌هایی حرف می‌زند
cw.sharif.ir: درس‌ها، تمرین‌ها، اطلاعیه‌ها و فایل‌ها (بعد از اینکه خودت وارد شوی)quera.org: تمرین‌ها و اطلاعیه‌های کلاس‌های کوئراedu.sharif.edu: کارنامه، معدل و وضعیت ثبت‌نام؛ فقط خواندنsetad.dining.sharif.edu: منو، اعتبار و رزرو غذای سماد- سرور ایمیل دانشکده‌ات (مثلاً
mail.ce.sharif.ir): خواندن ایمیل‌ها ocw.sharif.ir: فیلم درس‌ها، وقتی خودت بازشان کنی
رمزت را در صفحهٔ ورود خود همان سایت می‌زنی یا در اپ، و مستقیم به همان سایت فرستاده می‌شود. کوله هیچ کاری در سامانه‌ها انجام نمی‌دهد مگر با دستور خودت، مثل رزرو غذا که همیشه تأیید تو را می‌خواهد.
سرور کوله چه کار می‌کند؟
سرور کوله در ایران است و این چهار کار را می‌کند. رمزها، اطلاعات درسی، نمره‌ها، غذاها و ایمیل‌هایت هرگز به آن فرستاده نمی‌شوند.
- سایت و فایل‌های نصب. برای شمردن دانلودها فقط لاگ خود سرور خوانده می‌شود: کدام فایل، کدام روز و از کجا آمده‌ای (مثلاً تلگرام). نشانی IP فقط برای اینکه یک نفر دو بار شمرده نشود و به‌صورت درهم‌شده به کار می‌رود و نگه داشته نمی‌شود.
- خبر نسخهٔ تازه. اپ روزی یک بار می‌پرسد نسخهٔ تازه آمده یا نه. در این کار نسخهٔ اپ، نوع سیستم‌عامل و یک شناسهٔ تصادفی همین نصب فرستاده می‌شود. این شناسه به اسم، شماره یا حسابت وصل نیست و روی سرور فقط درهم‌شده‌اش (هش) می‌ماند. با آن می‌شمریم چند نصب روی کدام نسخه‌اند، و نسخهٔ تازه را اول به بخشی از نصب‌ها می‌دهیم.
- گزارش خطای خودکار. وقتی اپ خطا بدهد، متن خطا، جای آن در کد، بخشی از اپ که در آن بودی، نسخه و سیستم‌عامل فرستاده می‌شود. هر سامانه (CW، سماد، EDU، کوئرا، ایمیل) هم روزی یک بار فقط به شکل تعداد گزارش می‌شود: چند بار وصل شد، چند بار نه، و دلیل کلی (مثلاً «اینترنت نبود» یا «نیاز به ورود»). اگر ایمیل، رمز، توکن، شماره دانشجویی یا تلفن در متن خطا باشد، قبل از ارسال روی دستگاه خودت پاک می‌شود و سرور هم دوباره پاکش می‌کند. این گزارش‌ها حداکثر ۹۰ روز می‌مانند. خاموش کردن: تنظیمات › حریم خصوصی › «ارسال خودکار گزارش خطا». از همان‌جا گزارش‌های منتظر ارسال را هم می‌توانی پاک کنی.
- گزارش مشکل یا پیشنهادی که خودت می‌فرستی. فقط وقتی خودت دکمهٔ ارسال را بزنی: متنی که می‌نویسی، و اگر خودت بخواهی اسکرین‌شات (که قبلش می‌توانی بخش‌های خصوصی‌اش را خط بزنی) و لاگ خطاهای اپ (رمزها و توکن‌هایش پاک‌شده). تا حل شدن مشکل و بعد حداکثر ۹۰ روز می‌ماند.
هیچ‌کدام از این‌ها فروخته یا به کسی داده نمی‌شود، و کوله تبلیغ ندارد. اگر چیزی به این فهرست اضافه شود، همین‌جا و داخل خود اپ نوشته می‌شود و قابل خاموش کردن خواهد بود.
همگام‌سازی گوشی و لپ‌تاپ
یک دستگاه QR نشان می‌دهد که نشانی‌اش روی شبکهٔ محلی و یک کلید یک‌بارمصرف در آن است. دستگاه دیگر اسکن می‌کند و دو طرف مستقیم روی همان Wi-Fi حرف می‌زنند. داده با همان کلید با AES-GCM رمزنگاری می‌شود و از اینترنت رد نمی‌شود. کلید بعد از همان یک بار به کار نمی‌آید. رمز سامانه‌ها هرگز همگام نمی‌شود؛ هر دستگاه رمزهای خودش را دارد.
گواهی‌های امنیتی دانشگاه
صادرکنندهٔ گواهی سایت‌های sharif.edu آن‌ها را در مهر ۱۴۰۵ باطل کرده و دستگاه‌های اپل این سایت‌ها را باز نمی‌کنند. کوله برای همین دامنه‌ها و فقط همین دامنه‌ها، گواهی را وقتی می‌پذیرد که بقیهٔ شرط‌ها درست باشد: امضای همان صادرکنندهٔ مشخص، تاریخ معتبر و اسم درست سایت. تنها چیزی که نادیده گرفته می‌شود وضعیت ابطال است. هیچ سایت دیگری از این استثنا استفاده نمی‌کند.
پاک کردن همه‌چیز
از تنظیمات اپ می‌توانی اتصال هر سامانه را قطع کنی؛ رمز همان سامانه پاک می‌شود. حذف اپ همهٔ داده‌ها را پاک می‌کند. روی ویندوز و لینوکس، رمزهای ذخیره‌شده در Credential Manager یا Keyring را می‌توانی از همان‌جا هم ببینی و پاک کنی.
گزارش آسیب‌پذیری
اگر مشکل امنیتی پیدا کردی، لطفاً اول خصوصی به هنوز تکمیل نشده خبر بده. ظرف سه روز جواب می‌دهیم و بعد از رفع مشکل، با اجازهٔ خودت، اسمت را در تغییرات می‌آوریم.
آخرین تغییر این صفحه: ۱۱ آبان ۱۴۰۵ (گزارش خطا و خبر نسخهٔ تازه)